Ndonjëherë kam lexuar mendimin se mbajtja e portit RDP (Remote Desktop Protocol) të hapur në Internet është mjaft e pasigurt, dhe nuk duhet ta bësh atë. Në fakt, duhet të ofrosh qasje në RDP ose përmes VPN, ose vetëm nga adresa "të bardha" të IP-ve të caktuara.
Unë administroj disa Windows Server për kompani të vogla, ku më është dhënë detyra të siguroj qasje të largët në Windows Server për kontabilistët. Ky është një trend modern - punë nga shtëpia. Më shpjet e kuptova se të torturosh kontabilistët me VPN është një aktivitet jo produktiv, dhe të mbledhësh të gjitha IP-të për listën e bardhë nuk do të funksionojë, sepse adresat IP të njerëzve janë dinamike.
Prandaj, ndoqa rrugën më të thjeshtë - hapja e portit RDP nga jashtë. Tani, për të pasur qasje, kontabilistët duhet të nisin RDP dhe të futin emrin e hostit (duke përfshirë portin), emrin e përdoruesit dhe fjalëkalimin.
Në këtë artikull do të ndaj përvojën time (pozitive dhe jo shumë) dhe rekomandimet.
Rreziqet
ĂfarĂ« rrezikoni duke hapur portin RDP?
1) Qasje e paautorizuar në të dhëna të ndjeshme
NĂ«se dikush arrin tĂ« gjejĂ« fjalĂ«kalimin pĂ«r RDP, ai do tĂ« mund tĂ« qaset nĂ« tĂ« dhĂ«na qĂ« dĂ«shironi t'i mbani private: gjendjen e llogarive, balancat, tĂ« dhĂ«nat e klientĂ«ve, âŠ
2) Humbje të të dhënave
Për shembull, si pasojë e veprimeve të një virusi-kriptues.
Ose veprimi i qëllimshëm i një sulmuesi.
3) Humbje e stacionit të punës
Punonjësit duhet të punojnë, ndërsa sistemi është i komprometuar, duhet të rinovohet / rikuperohet / konfiguroni.
4) Komprometimi i rrjetit lokal
Nëse një sulmues ka arritur të qaset në një kompjuter Windows, ai tashmë mund të ketë qasje në sisteme që nuk janë të qasshme nga jashtë, nga Interneti. Për shembull, në ndarjet e skedarëve, në printerët rrjetë, etj.
Kam pasur një rast kur Windows Server u kap nga një kriptues
dhe ky kriptues fillimisht kodoi shumicën e skedarëve në diskun C:, dhe më pas filloi të kodonte skedarët në NAS përmes rrjetit. Duke qenë se NAS ishte Synology, me snapshots të konfiguruara, e rigjenerova NAS-in për në 5 minuta, ndërsa Windows Server e rigjenerova nga fillimi.
VĂ«zhgimet dhe Rekomandimet
Unë monitoroj Windows Servers me anë të , të cilat dërgojnë loget në ElasticSearch. Në Kibana ka disa vizualizime, dhe unë gjithashtu kam konfiguruar një tabelë të personalizuar.
Monitorimi i vetë nuk mbron, por ndihmon në përcaktimin e masave të nevojshme.
Ja disa vëzhgime:
a) RDP do të bëhet objekt i brute-forcing.
NĂ« njĂ« nga serverĂ«t e mi e kam vendosur RDP jo nĂ« portin standard 3389, por nĂ« 443 â pĂ«r tĂ« u maskuar si HTTPS. Ndoshta ja vlen tĂ« ndryshohet porti nga ai standard, por nuk ka shumĂ« pĂ«rdorim. KĂ«tu Ă«shtĂ« statistika nga ky server:
E dukshme është se për një javë ka pasur pothuajse 400,000 përpjekje të dështuara për të hyrë përmes RDP.
E dukshme është se përpjekjet për të hyrë kanë ardhur nga 55,001 adresa IP (disa adresa IP tashmë ishin bllokuar nga unë).
Këtu del qartë se duhet vendosur fail2ban, por
për Windows nuk ekziston një utilitar i tillë.
Ka disa projekte të braktisura në GitHub, të cilat duket se e bëjnë këtë, por as që i kam provuar ato:
Përveç kësaj, ka disa utilitarë me pagesë, por unë nuk i kam shqyrtuar.
NĂ«se dini njĂ« utilitar tĂ« hapur pĂ«r kĂ«tĂ« qĂ«llim â ndani nĂ« komentet.
PĂ«rditĂ«so: NĂ« komentet mĂ« sugjeruan se porta 443 â Ă«shtĂ« njĂ« zgjedhje e keqe, dhe Ă«shtĂ« mĂ« mirĂ« tĂ« zgjidhen porta tĂ« larta (32000+), sepse 443 skanohet shpesh, dhe tĂ« identifikosh RDP nĂ« kĂ«tĂ« port â nuk Ă«shtĂ« problem.
Përditësim: Në komentet më njoftuan se një utilitar i tillë ekziston:
b) Ka disa emra përdoruesish, të cilët hakerat preferojnë
E dukshme është se përbërja po bëhet përmes një fjalori me emra të ndryshëm.
Por ajo qĂ« vura re: njĂ« numĂ«r i konsiderueshĂ«m pĂ«rpjekjesh â Ă«shtĂ« pĂ«rdorimi i emrit tĂ« serverit si emĂ«r pĂ«rdoruesi. Rekomandimi: mos pĂ«rdorni tĂ« njĂ«jtin emĂ«r pĂ«r kompjuterin dhe pĂ«r pĂ«rdoruesin. PĂ«r mĂ« tepĂ«r, nganjĂ«herĂ« duket se emri i serverit pĂ«rpiqet tĂ« analizohet: pĂ«r shembull, pĂ«r sistemin me emrin DESKTOP-DFTHD7C, mĂ« sĂ« shumti pĂ«rpjekje pĂ«r tĂ« hyrĂ« janĂ« me emrin DFTHD7C:
Për rrjedhojë, nëse keni një kompjuter DESKTOP-MARIA, ndoshta do ketë përpjekje për të hyrë nën përdoruesin MARIA.
Gjithashtu, ajo qĂ« kam vĂ«nĂ« re nga logjet: nĂ« shumicĂ«n e sistemeve, shumica e pĂ«rpjekjeve pĂ«r tĂ« hyrĂ« â janĂ« me emrin "administrator". Dhe kjo nuk Ă«shtĂ« rastĂ«si, sepse nĂ« shumĂ« versione tĂ« Windows, ky pĂ«rdorues ekziston. PĂ«r mĂ« tepĂ«r â nuk mund tĂ« fshihet. Kjo e bĂ«n misionin mĂ« tĂ« lehtĂ« pĂ«r hakerat: nĂ« vend se tĂ« gjejnĂ« emrin dhe fjalĂ«kalimin, duhet vetĂ«m tĂ« gjejnĂ« fjalĂ«kalimin.
Mesazhi Ă«shtĂ« se sistemi, qĂ« mĂ« kapte ransomware, kishte pĂ«rdoruesin Administrator dhe fjalĂ«kalimin Murmansk#9. Ende nuk jam i sigurt se si e hackuan atĂ« sistem, sepse fillova tĂ« monitoroj pikĂ«risht pas atij rasti, por mendoj se pĂ«rbĂ«rja â Ă«shtĂ« e mundshme.
Pra, nëse përdoruesi Administrator nuk mund të fshihet, çfarë të bëjmë? Mund të rinovohet!
Rekomandimet nga ky pikë:
- mos përdorni emrin e përdoruesit në emrin e kompjuterit
- sigurohuni që në sistem nuk ka përdorues Administrator
- përdorni fjalëkalime të sigurta
Kështu, unë kam vëzhguar se disa Windows Server nën kontrollin tim janë sulmuar me bruteforce për disa vite tani, dhe pa sukses.
Si e di që nuk ka pasur sukses?
Sepse në screenshotet më sipër është e dukshme se ka logje të hyrjeve të suksesshme përmes RDP, në të cilat ka informacion:
- nga cili IP
- nga cila kompjuter (hostname)
- emri i përdoruesit
- informacioni GeoIP
Dhe unĂ« e shikoj rregullisht atje â nuk kam gjetur anomali.
Për më tepër, nëse nga ndonjë IP sulmohet me intensitet të veçantë, mund të bllokoni IP-të e veçanta (ose subnet) kështu në PowerShell:
New-NetFirewallRule -Direction Inbound -DisplayName "fail2ban" -Name "fail2ban" -RemoteAddress ("185.143.0.0/16", "185.153.0.0/16", "193.188.0.0/16") -Action BlockPĂ«r mĂ« tepĂ«r, Elastic ka, pĂ«rveç Winlogbeat, gjithashtu , i cili mund tĂ« monitorojĂ« skedarĂ«t dhe proceset nĂ« sistem. Ka gjithashtu njĂ« aplikacion SIEM (Menaxhimi i Informacionit dhe Ngjarjeve tĂ« SigurisĂ«) nĂ« Kibana. Kam provuar tĂ« dyja, por nuk pashĂ« ndonjĂ« dobi tĂ« madhe â duket se Auditbeat do tĂ« jetĂ« mĂ« i dobishĂ«m pĂ«r sistemet Linux, ndĂ«rsa SIEM nuk mĂ« ka treguar asgjĂ« tĂ« qartĂ« deri tani.
Dhe rekomandimet përfundimtare:
- bëni kopje rezervë automatike rregullisht.
- instaloni në kohë Patches të Sigurisë
Bonus: lista e 50 përdoruesve që janë përdorur më shpesh për përpjekjet e hyrjes përmes RDP
"user.name: Zbritës"
Numri
dfthd7c (hostname)
842941
winsrv1 (hostname)
266525
ADMINISTRATOR
180678
administrator
163842
Administrator
53541
michael
23101
server
21983
steve
21936
john
21927
paul
21913
reception
21909
mike
21899
office
21888
scanner
21887
scan
21867
david
21865
chris
21860
owner
21855
manager
21852
administrateur
21841
brian
21839
administrador
21837
mark
21824
staff
21806
ADMIN
12748
ROOT
7772
ADMINISTRADOR
7325
SUPPORT
5577
SOPORTE
5418
USER
4558
admin
2832
TEST
1928
MySql
1664
Admin
1652
GUEST
1322
USER1
1179
SCANNER
1121
SCAN
1032
ADMINISTRATEUR
842
ADMIN1
525
BACKUP
518
MySqlAdmin
518
RECEPTION
490
USER2
466
TEMP
452
SQLADMIN
450
USER3
441
1
422
MANAGER
418
OWNER
410
Burimi: habr.com
